Kimlik doğrulama ve güvenlik temelleri

Şimdiye kadar yazdığın sunucular herkese açıktı. Gerçek bir uygulamada ise bazı şeyler yalnız sana, bazıları yalnız yöneticiye açıktır. Bu derste o kapıyı kuruyorsun: kayıt, giriş, oturum ve korunan adresler. Sonra saldırganın gözünden bakıp en sık üç açığı ve ilk savunmayı göreceksin.

Baştan bir uyarı: güvenlik tek dersle bitmez. Amaç, nelerin neden yapıldığını anlaman. Gerçek bir üründe kendi şifre sistemini sıfırdan yazmak yerine denenmiş bir çözüm kullanacaksın; bunu dersin sonunda konuşacağız. Önce altında ne olduğunu görelim.

#İki ayrı soru: kimsin ve ne yapabilirsin

Güvenliğin temelinde iki ayrı soru var ve bunları karıştırmak çok sık yapılan bir hata.

Bu ayrım, Ders 26'da gördüğün iki durum koduyla birebir eşleşir:

• 401 Unauthorized: "Seni tanımıyorum." Giriş yapmadın ya da kimliğini kanıtlayamadın.
• 403 Forbidden: "Seni tanıyorum ama bu işe iznin yok."

Adı yanıltıcı: 401'in İngilizce adı "Unauthorized" (yetkisiz) olsa da aslında kimlik doğrulamayla ilgilidir. İstemci ikisine farklı davranır: 401 görünce giriş sayfasını açar, 403 görünce "bu sayfa sana kapalı" der.

#Şifreyi asla düz saklama

İlk akla gelen, şifreyi olduğu gibi saklamak. Peki kullanıcı listen bir gün çalınırsa? Herkesin şifresi saldırganın eline geçer; insanlar aynı şifreyi başka sitelerde de kullandığı için zarar senin sitende kalmaz.

Çözüm: şifreyi saklamadan önce geri döndürülemez bir işlemden geçirmek. Bu işleme hash denir.

Bu dersin projesi için yeni bir klasör aç: terminalde cd C:\kod, mkdir giris-sistemi ve cd giris-sistemi. Klasörü VS Code'da aç, Ders 27'deki gibi npm init -y çalıştır ve package.json'da "type": "commonjs" satırını "type": "module" yap.

İlk akla gelen, sha256 gibi hazır bir hash. Node'un içindeki node:crypto modülüyle dene:

1import { createHash } from "node:crypto"2 3function sha256(metin) {4    return createHash("sha256").update(metin).digest("hex")5}6 7console.log(sha256("sihirdar123"))8console.log(sha256("sihirdar123"))9console.log(sha256("sihirdar124"))

debc36df3a62863d08c6e51a2e853b5fb1df1cf131e2f1bea6c228df26a99b92debc36df3a62863d08c6e51a2e853b5fb1df1cf131e2f1bea6c228df26a99b92a35b5ea8922f68281c63f9e1f0c624b20c560669ef3ff645dbd33f080bb7b96b

createHash("sha256") bir hash makinesi kurar, update(metin) metni içine atar, digest("hex") sonucu 0–9 ve a–f harfleriyle yazılmış bir metin olarak verir (zincirleme). Aynı şifre hep aynı özeti veriyor (karşılaştırabilirsin), tek harf değişince özet bambaşka oluyor. Ama sha256'nın şifre için iki büyük sorunu var.

Birincisi: çok hızlı. sha256 dosya denetimi gibi işler için, hızlı olsun diye tasarlandı. Şifrede ise hız saldırganın dostudur. Ölç (ikinci döngüdeki scryptSync'i birazdan tanıyacaksın, şimdilik yalnız sürelere bak):

1import { createHash, scryptSync, randomBytes } from "node:crypto"2 3const tuz = randomBytes(16)4 5let basla = Date.now()6for (let i = 0; i < 100000; i++) {7    createHash("sha256").update("deneme" + i).digest("hex")8}9console.log(`100000 sha256: ${Date.now() - basla} ms`)10 11basla = Date.now()12for (let i = 0; i < 10; i++) {13    scryptSync("deneme" + i, tuz, 32, { N: 16384, r: 8, p: 5 })14}15console.log(`10 scrypt: ${Date.now() - basla} ms`)

100000 sha256: 149 ms10 scrypt: 1478 ms

Yüz bin sha256 yaklaşık 150 ms sürdü. Çalınmış özetleri eline geçiren saldırgan, milyonlarca şifreyi saniyeler içinde dener. scrypt ise tanesi için yaklaşık 150 ms harcadı. Bu yavaşlık kasıtlı: kullanıcı girişte bir kez 150 ms bekler, fark etmez; saldırgan ise saniyede milyonlarca değil, birkaç tahmin yapabilir.

İkincisi: tuz yok. Aynı şifre hep aynı özeti verdiği için yaygın şifrelerin özetleri önceden hesaplanıp dev tablolara konmuştur ("gökkuşağı tablosu"); özeti bulan, şifreyi bir aramayla bulur. Çaresi tuz.

Node'un içinde tam bu iş için yapılmış, yavaş ve tuzlu bir fonksiyon var: scrypt. Proje klasöründe sifre.js dosyasını aç:

1import { scrypt, randomBytes, timingSafeEqual } from "node:crypto"2import { promisify } from "node:util"3 4const scryptBekle = promisify(scrypt)5const AYAR = { N: 16384, r: 8, p: 5 }6 7export async function sifreyiHashle(sifre) {8    const tuz = randomBytes(16)9    const hash = await scryptBekle(sifre, tuz, 32, AYAR)10    return `${tuz.toString("hex")}:${hash.toString("hex")}`11}12 13export async function sifreDogruMu(sifre, kayit) {14    const [tuzHex, hashHex] = kayit.split(":")15    const beklenen = Buffer.from(hashHex, "hex")16    const gelen = await scryptBekle(sifre, Buffer.from(tuzHex, "hex"), beklenen.length, AYAR)17    return timingSafeEqual(gelen, beklenen)18}

Parça parça:

• scrypt eski tarz, geri çağırmalı (Ders 10) bir fonksiyon; promisify onu await edilebilen bir Promise'e çevirir. scryptSync de var, ama o çalışırken bütün sunucu bekler.
• randomBytes(16) her şifreye yeni, tahmin edilemez bir tuz üretir. Sonuç bir Buffer; toString("hex") onu metne çevirir.
• Tuz ve özet tek metinde, iki noktayla ayrılmış durur. Girişte split(":") ve parçalama ikisini ayırır. Tuz olmadan aynı özeti üretemezsin, saklamak şart.
• AYAR, scrypt'in ne kadar yavaş çalışacağını ve ne kadar bellek isteyeceğini belirler. Değerler OWASP Password Storage sayfasının scrypt seçeneklerinden biri (N=2^14, r=8, p=5). Donanım hızlandıkça öneriler artar; gerçek projede güncel değeri o sayfadan al. Aynı sayfanın ilk önerisi Argon2id; o da Node 24.7'den beri node:crypto'da var (argon2). İkisi de doğru seçim, biz yıllardır Node'da bulunan scrypt'le ilerliyoruz.

Dene:

1import { sifreyiHashle, sifreDogruMu } from "./sifre.js"2 3const kayit = await sifreyiHashle("sihirdar123")4console.log(kayit)5console.log(await sifreDogruMu("sihirdar123", kayit))6console.log(await sifreDogruMu("sihirdar124", kayit))7console.log(await sifreyiHashle("sihirdar123"))

4f1a3d7e0f8bd7b558f3696eeabe7196:3128cc3c80e3857e3a52b87bf3617c1016db66e74fac9a253e29a91d56d9b847truefalsed50719acaa85e36128f17961c4aa55f9:9ff3a85d8ae8b9cbed474d9e31b25c4de5f1908e268af68ab82f5074e8d90224

İlk satır saklanacak kayıt: 16 baytlık tuz, iki nokta, 32 baytlık özet. Doğru şifre true, tek harfi farklı şifre false. Son satırda aynı sihirdar123 bambaşka bir kayıt verdi, çünkü tuz yeniden üretildi. Sende bütün sayılar farklı çıkacak.

1import { scryptSync } from "node:crypto"2 3const hash = scryptSync("mavi-ejder-ucuyor", "tuz", 32, { N: 131072, r: 8, p: 1 })4console.log(hash.toString("hex"))

node:internal/crypto/scrypt:69  const job = new ScryptJob(              ^ RangeError: Invalid scrypt params: error:030000AC:digital envelope routines::memory limit exceeded    at scryptSync (node:internal/crypto/scrypt:69:15)    at file:///C:/kod/giris-sistemi/bellek-hata.js:3:14    ...  code: 'ERR_CRYPTO_INVALID_SCRYPT_PARAMS'} Node.js v24.20.0

#Karşılaştırmanın tuzağı: == değil, timingSafeEqual

scrypt'in verdiği şey bir metin değil, bir Buffer (ham bayt dizisi). Buffer'ları == ya da === ile karşılaştırmak işe yaramaz:

1import { scryptSync, timingSafeEqual } from "node:crypto"2 3const tuz = Buffer.from("a3f1c09b7e2d44589f10b2c3d4e5f607", "hex")4const kayitli = scryptSync("mavi-ejder-ucuyor", tuz, 32, { N: 16384, r: 8, p: 5 })5const gelen = scryptSync("mavi-ejder-ucuyor", tuz, 32, { N: 16384, r: 8, p: 5 })6 7console.log(gelen == kayitli)8console.log(gelen === kayitli)9console.log(timingSafeEqual(gelen, kayitli))

falsefalsetrue

Aynı şifre, aynı tuz, ama == ve === false diyor. Bu işaretler iki Buffer'ın aynı kutu olup olmadığına bakar (referans), içindeki baytlara bakmaz. timingSafeEqual içeriğe bakar.

Adındaki "timing safe" (zamanı ele vermeyen) de önemli. Sıradan bir karşılaştırma ilk farklı baytta durur, yani kaç baytın tuttuğuna göre biraz erken ya da geç biter. Sabırlı bir saldırgan bu süreyi ölçerek doğru cevaba bayt bayt yaklaşabilir. timingSafeEqual hep aynı sürede biter.

1import { scryptSync, timingSafeEqual } from "node:crypto"2 3const tuz = Buffer.from("a3f1c09b7e2d44589f10b2c3d4e5f607", "hex")4const kayitli = scryptSync("mavi-ejder-ucuyor", tuz, 32, { N: 16384, r: 8, p: 5 })5const gelen = scryptSync("mavi-ejder-ucuyor", tuz, 64, { N: 16384, r: 8, p: 5 })6 7console.log(timingSafeEqual(gelen, kayitli))

file:///C:/kod/giris-sistemi/uzunluk-hata.js:7console.log(timingSafeEqual(gelen, kayitli))            ^ RangeError: Input buffers must have the same byte length    at file:///C:/kod/giris-sistemi/uzunluk-hata.js:7:13    ...  code: 'ERR_CRYPTO_TIMING_SAFE_EQUAL_LENGTH'} Node.js v24.20.0

#Kayıt ve giriş uç noktaları

Şimdi Express (Ders 28) ile giriş sistemini kuralım. Çerezleri okumak için yanına cookie-parser gerekiyor:

PS C:\kod\giris-sistemi> npm install express cookie-parseradded 67 packages, and audited 68 packages in 1s 28 packages are looking for funding  run `npm fund` for details found 0 vulnerabilities

Express 5.3.0 ve cookie-parser 1.4.7 ile denendi; seninkiler daha yeni olabilir. "scripts" kısmını Ders 30'daki gibi düzenle; dev sunucuyu her kayıtta yeniden başlatır ve .env'i okur:

1{2  "name": "giris-sistemi",3  "version": "1.0.0",4  "description": "",5  "main": "index.js",6  "scripts": {7    "dev": "node --watch --env-file=.env sunucu.js"8  },9  "keywords": [],10  "author": "",11  "license": "ISC",12  "type": "module",13  "dependencies": {14    "cookie-parser": "^1.4.7",15    "express": "^5.3.0"16  }17}

Boş bir .env dosyası da oluştur; JWT bölümünde içine anahtar yazacaksın. Anahtar ve çerez dosyaları Git'e girmemeli, işe .gitignore ile başla:

1node_modules2.env3*.txt

Üçüncü satır, curl'ün yazacağı çerez dosyaları için: içlerindeki canlı oturum kimlikleri de birer anahtar (Ders 26).

sunucu.js'in ilk hâli: kayıt ve giriş. Kullanıcılar şimdilik bellekte, bir dizide (veritabanı Blok 5'te):

1import express from "express"2import { sifreyiHashle, sifreDogruMu } from "./sifre.js"3 4const app = express()5const port = 30006 7const kullanicilar = []8const yoneticiler = ["deniz"]9 10app.use(express.json())11 12app.post("/kayit", async (req, res) => {13    const ad = req.body?.ad14    const sifre = req.body?.sifre15    if (typeof ad !== "string" || typeof sifre !== "string") {16        return res.status(400).json({ hata: "ad ve sifre metin olarak gelmeli" })17    }18    if (kullanicilar.some((k) => k.ad === ad)) {19        return res.status(409).json({ hata: "Bu ad alınmış" })20    }21    const sifreHash = await sifreyiHashle(sifre)22    const rol = yoneticiler.includes(ad) ? "yonetici" : "oyuncu"23    kullanicilar.push({ ad, sifreHash, rol })24    res.status(201).json({ ad, rol })25})26 27app.post("/giris", async (req, res) => {28    const ad = req.body?.ad29    const sifre = req.body?.sifre30    const kullanici = kullanicilar.find((k) => k.ad === ad)31    if (!kullanici || typeof sifre !== "string") {32        return res.status(401).json({ hata: "Ad ya da şifre yanlış" })33    }34    const dogruMu = await sifreDogruMu(sifre, kullanici.sifreHash)35    if (!dogruMu) {36        return res.status(401).json({ hata: "Ad ya da şifre yanlış" })37    }38    res.json({ mesaj: `Hoş geldin, ${kullanici.ad}` })39})40 41app.listen(port, () => {42    console.log(`Sunucu çalışıyor: http://localhost:${port}`)43})

Üç noktaya dikkat:

• Kayıtta şifre hemen hashleniyor; düz şifre hiçbir yere yazılmıyor. typeof denetimi metin olmayan gövdeyi 400 ile çevirir. Gövde hiç gelmezse req.body undefined olur; req.body?.ad'daki ?. o durumda çökmeyi önler.
• Kullanıcı yoksa da, şifre yanlışsa da aynı mesaj dönüyor. "Bu ad var ama şifre yanlış" demek, saldırgana kayıtlı adları söylerdi.
• Adı yoneticiler listesindeki kişi yonetici olur. Bu kestirme de bir açık: deniz adını ilk kim kaydederse yönetici o. Gerçek sistemde rolü bir yönetici elle verir.

Sunucuyu bir terminalde npm run dev ile başlat. İstek gövdelerini Ders 26'daki gibi dosyalara koy:

• deniz.json: { "ad": "deniz", "sifre": "gece-yarisi-ejder-uyanir" }
• deniz-yanlis.json: { "ad": "deniz", "sifre": "gece-yarisi-ejder-uyuyor" }
• mert.json: { "ad": "mert", "sifre": "kuzey-ruzgari-sert-esiyor" }

Bu şifreler uydurma; gerçek bir şifreyi böyle bir dosyaya yazma. İkinci bir terminal aç (paneldeki + düğmesi) ve dene:

PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"hata":"Bu ad alınmış"}PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/giris{"mesaj":"Hoş geldin, deniz"}PS C:\kod\giris-sistemi> curl.exe -i --json "@deniz-yanlis.json" http://localhost:3000/girisHTTP/1.1 401 UnauthorizedX-Powered-By: ExpressContent-Type: application/json; charset=utf-8... {"hata":"Ad ya da şifre yanlış"}

17    return gelen == beklenen

PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/giris{"hata":"Ad ya da şifre yanlış"}

Giriş çalışıyor, ama korunan her istekte şifreyi yeniden göndermek zorundasın. Sunucunun seni hatırlaması gerekiyor: oturum ve çerez.

#Oturum: sunucu seni nasıl hatırlar

Ders 26'da akışı görmüştün: giriş başarılı olunca sunucu rastgele bir oturum kimliği üretir, defterine yazar ve Set-Cookie ile tarayıcıya verir. Tarayıcı sonraki her isteğe o çerezi ekler. Oradaki turnuva bilekliğini hatırla: kapıda bir kez bilet gösterirsin, sonra hep bilekliği. Şimdi bileklikleri dağıtan ve deftere yazan görevli sensin.

Defter için bir Map kullanacağız:

sunucu.js'in baş tarafını şöyle genişlet. Yeni olan satırlar vurgulu:

1import express from "express"2import cookieParser from "cookie-parser"3import { randomBytes } from "node:crypto"4import { sifreyiHashle, sifreDogruMu } from "./sifre.js"5 6const app = express()7const port = 30008 9const kullanicilar = []10const yoneticiler = ["deniz"]11const oturumlar = new Map()12const OTURUM_SURESI = 60 * 60 * 100013const CEREZ_AYARI = { httpOnly: true, secure: true, sameSite: "lax" }14 15app.use(express.json())16app.use(cookieParser())17 18function oturumAc(res, ad) {19    const kimlik = randomBytes(32).toString("hex")20    oturumlar.set(kimlik, { ad, bitis: Date.now() + OTURUM_SURESI })21    res.cookie("oturum", kimlik, { ...CEREZ_AYARI, maxAge: OTURUM_SURESI })22}

oturumAc, giriş başarılı olunca çağrılacak:

• randomBytes(32) tahmin edilemez bir kimlik üretir. 1, 2, 3 gibi sıralı bir sayı olsaydı saldırgan başkasının kimliğini tahmin ederdi.
• Defterde kimliğin karşısında kullanıcının adı ve oturumun biteceği an durur. OTURUM_SURESI bir saat, milisaniye cinsinden.
• res.cookie(...) Express'in metodu: çerezi Set-Cookie başlığına koyar. { ...CEREZ_AYARI, maxAge: ... } ayarları yayıp süreyi ekler.
• cookieParser() gelen isteklerdeki Cookie başlığını okuyup req.cookies objesine çevirir.

Son olarak /giris'te res.json(...) satırının hemen üstüne oturumu açan satırı ekle:

    oturumAc(res, kullanici.ad)    res.json({ mesaj: `Hoş geldin, ${kullanici.ad}` })

#Çerezin koruma işaretleri

CEREZ_AYARI'ndaki üç işaret, bir oturum çerezinin olmazsa olmazı. Giriş yanıtına curl.exe -i ile bakınca hepsini görürsün:

PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe -i --json "@deniz.json" http://localhost:3000/girisHTTP/1.1 200 OKX-Powered-By: ExpressSet-Cookie: oturum=43517600d768ebf41a8b5ac8bdd78688f9f4b9dea07509a421b85f7a901fffd4; Max-Age=3600; Path=/; Expires=Mon, 12 Oct 2026 01:09:58 GMT; HttpOnly; Secure; SameSite=LaxContent-Type: application/json; charset=utf-8... {"mesaj":"Hoş geldin, deniz"}

oturum='dan sonraki 64 karakter, randomBytes(32)'nin ürettiği kimlik. Max-Age=3600 bir saat; Express milisaniyeyi saniyeye kendisi çevirdi.

• HttpOnly: Sayfadaki JavaScript çereze (document.cookie) erişemez. Sitende bir XSS açığı olsa bile saldırganın kodu oturum çerezini çalamaz; birazdan gerçek bir tarayıcıda göreceksin.
• Secure: Çerez yalnız https:// bağlantılarda gönderilir; araya giren biri onu okuyamaz. Chrome, Edge, Firefox ve curl, localhost'u bu kuralın istisnası sayar; geliştirirken düz http ile çalışabilmen bu yüzden.
• SameSite=Lax: Çerez, başka bir siteden tetiklenen POST gibi isteklere eklenmez; başka siteden gelen bir bağlantıya tıklayınca (üst seviye GET) eklenir. Bunun önemini CSRF bölümünde göreceksin.

PS C:\kod\giris-sistemi> curl.exe -v -c ag.txt --json "@deniz.json" http://192.168.1.108:3000/giris...< HTTP/1.1 200 OK...* skipped cookie because not 'secure'< Set-Cookie: oturum=35dd9e1f8731d08fe67ceec45b3c0c664817c2f4abe008ea1d894b1eca980ef6; Max-Age=3600; Path=/; Expires=Mon, 12 Oct 2026 01:11:00 GMT; HttpOnly; Secure; SameSite=Lax...{"mesaj":"Hoş geldin, deniz"}PS C:\kod\giris-sistemi> curl.exe -b ag.txt http://192.168.1.108:3000/ben{"hata":"Önce giriş yap"}

#Korunan route: ara katman

Bir adresi "önce giriş yap" diye korumak için route'un önüne bir ara katman koyacağız. İki tane: biri giriş var mı diye bakar, öteki rol yetiyor mu diye. İkisini oturumAc'ın altına yaz:

24function girisGerekli(req, res, next) {25    const kimlik = req.cookies.oturum26    const oturum = oturumlar.get(kimlik)27    if (!oturum) {28        return res.status(401).json({ hata: "Önce giriş yap" })29    }30    if (Date.now() > oturum.bitis) {31        oturumlar.delete(kimlik)32        return res.status(401).json({ hata: "Oturumun süresi doldu, yeniden giriş yap" })33    }34    req.kullanici = kullanicilar.find((k) => k.ad === oturum.ad)35    next()36}37 38function yoneticiGerekli(req, res, next) {39    if (req.kullanici.rol !== "yonetici") {40        return res.status(403).json({ hata: "Bu iş için yönetici olmalısın" })41    }42    next()43}

girisGerekli çerezdeki kimliği defterde arar. Yoksa 401; süresi dolmuşsa kaydı silip yine 401. Varsa kullanıcıyı req.kullanici'ye koyar ve next() ile isteği sıradakine verir. yoneticiGerekli ise rolüne bakar; yetmezse 403.

yoneticiGerekli, girisGerekli'nin koyduğu req.kullanici'ye güvenir; bu yüzden sıra önemli: önce kimlik, sonra yetki. Şimdi /giris'in altına üç route ekle. Bundan sonraki parçalarda satır numaraları dosyanın ders sonundaki hâline göre; seninki şimdilik daha kısa olduğu için numaralar tutmaz, yeri tarif eden cümleye bak:

126app.get("/ben", girisGerekli, (req, res) => {127    res.json({ ad: req.kullanici.ad, rol: req.kullanici.rol })128})129 130app.get("/yonetim/kullanicilar", girisGerekli, yoneticiGerekli, (req, res) => {131    res.json(kullanicilar.map((k) => ({ ad: k.ad, rol: k.rol })))132})133 134app.post("/cikis", girisGerekli, (req, res) => {135    oturumlar.delete(req.cookies.oturum)136    res.clearCookie("oturum", CEREZ_AYARI)137    res.status(204).end()138})

Yönetim listesi map ile (Ders 11) yalnız ad ve rol gönderiyor; sifreHash dışarı çıkmaz. Çıkışta oturum silinir, res.clearCookie tarayıcıya "bu çerezi sil" der (kurarkenki ayarları ister). Dene; -c çerezi dosyaya yazar, -b isteğe ekler (Ders 26):

PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe --json "@mert.json" http://localhost:3000/kayit{"ad":"mert","rol":"oyuncu"}PS C:\kod\giris-sistemi> curl.exe -c deniz.txt --json "@deniz.json" http://localhost:3000/giris{"mesaj":"Hoş geldin, deniz"}PS C:\kod\giris-sistemi> curl.exe -c mert.txt --json "@mert.json" http://localhost:3000/giris{"mesaj":"Hoş geldin, mert"}PS C:\kod\giris-sistemi> curl.exe -b deniz.txt http://localhost:3000/ben{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe -i http://localhost:3000/yonetim/kullanicilarHTTP/1.1 401 Unauthorized... {"hata":"Önce giriş yap"}PS C:\kod\giris-sistemi> curl.exe -i -b mert.txt http://localhost:3000/yonetim/kullanicilarHTTP/1.1 403 Forbidden... {"hata":"Bu iş için yönetici olmalısın"}PS C:\kod\giris-sistemi> curl.exe -b deniz.txt http://localhost:3000/yonetim/kullanicilar[{"ad":"deniz","rol":"yonetici"},{"ad":"mert","rol":"oyuncu"}]PS C:\kod\giris-sistemi> curl.exe -i -X POST -b deniz.txt http://localhost:3000/cikisHTTP/1.1 204 No ContentX-Powered-By: ExpressSet-Cookie: oturum=; Path=/; Expires=Thu, 01 Jan 1970 00:00:00 GMT; HttpOnly; Secure; SameSite=Lax...PS C:\kod\giris-sistemi> curl.exe -b deniz.txt http://localhost:3000/ben{"hata":"Önce giriş yap"}

Çerezsiz istek 401, oyuncu mert 403, yönetici deniz 200. Çıkıştan sonra deniz.txt'deki kimlik artık defterde yok: 401.

TypeError: Cannot read properties of undefined (reading 'oturum')    at girisGerekli (file:///C:/kod/giris-sistemi/sunucu.js:24:32)    ...

TypeError: Cannot read properties of undefined (reading 'rol')    at yoneticiGerekli (file:///C:/kod/giris-sistemi/sunucu.js:39:23)    ...

27    if (!oturum) {28        return res.status(403).json({ hata: "Önce giriş yap" })29    }

PS C:\kod\giris-sistemi> curl.exe -i http://localhost:3000/benHTTP/1.1 403 Forbidden... {"hata":"Önce giriş yap"}

#Hız sınırı ve güçlü şifre

scrypt'in yavaşlığı saldırganı durdurmaz: şifreleri doğrudan /giris'e de deneyebilir. İkinci savunma, bir hesaba üst üste çok deneme yapılmasını engellemek: Ders 30'da sana konan hız sınırını bu kez sen koyuyorsun. Sayılar yine bir Map'te, adres ve ad ikilisine göre tutuluyor. yoneticiGerekli'nin altına ekle:

45const denemeler = new Map()46const DENEME_SINIRI = 547const DENEME_PENCERESI = 15 * 60 * 100048 49function girisSiniri(req, res, next) {50    const anahtar = `${req.ip}|${req.body?.ad}`51    let kayit = denemeler.get(anahtar)52    if (!kayit || Date.now() - kayit.ilk >= DENEME_PENCERESI) {53        kayit = { sayi: 0, ilk: Date.now() }54        denemeler.set(anahtar, kayit)55    }56    if (kayit.sayi >= DENEME_SINIRI) {57        const kalan = Math.ceil((kayit.ilk + DENEME_PENCERESI - Date.now()) / 1000)58        res.set("Retry-After", String(kalan))59        return res.status(429).json({ hata: `Çok fazla deneme. ${kalan} saniye sonra yeniden dene` })60    }61    kayit.sayi = kayit.sayi + 162    req.denemeAnahtari = anahtar63    next()64}

• req.ip isteği atan bilgisayarın adresi (kendi bilgisayarında ::1 ya da 127.0.0.1). Anahtar ::1|deniz gibi bir metin olur.
• İlk denemede ya da 15 dakikalık pencere dolunca sayaç sıfırdan başlar.
• 5 deneme dolunca 429 Too Many Requests döner. res.set yanıta başlık ekler; Retry-After kaç saniye beklemek gerektiğini söyler.

Şimdi /giris'i bu kapının arkasına al ve başarılı girişte sayacı sil (vurgulu iki satır):

110app.post("/giris", girisSiniri, async (req, res) => {111    const ad = req.body?.ad112    const sifre = req.body?.sifre113    const kullanici = kullanicilar.find((k) => k.ad === ad)114    if (!kullanici || typeof sifre !== "string") {115        return res.status(401).json({ hata: "Ad ya da şifre yanlış" })116    }117    const dogruMu = await sifreDogruMu(sifre, kullanici.sifreHash)118    if (!dogruMu) {119        return res.status(401).json({ hata: "Ad ya da şifre yanlış" })120    }121    denemeler.delete(req.denemeAnahtari)122    oturumAc(res, kullanici.ad)123    res.json({ mesaj: `Hoş geldin, ${kullanici.ad}` })124})

girisSiniri, express.json()'dan sonra çalıştığı için req.body?.ad'ı okuyabiliyor. Yanlış şifreyi beş kez gönder (↑ son komutu geri getirir), altıncıya bak:

PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe --json "@deniz-yanlis.json" http://localhost:3000/giris{"hata":"Ad ya da şifre yanlış"}# aynı komutu dört kez daha çalıştır, hep aynı cevap gelirPS C:\kod\giris-sistemi> curl.exe -i --json "@deniz-yanlis.json" http://localhost:3000/girisHTTP/1.1 429 Too Many RequestsX-Powered-By: ExpressRetry-After: 896Content-Type: application/json; charset=utf-8... {"hata":"Çok fazla deneme. 896 saniye sonra yeniden dene"}PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/giris{"hata":"Çok fazla deneme. 896 saniye sonra yeniden dene"}PS C:\kod\giris-sistemi> curl.exe --json "@mert.json" http://localhost:3000/kayit{"ad":"mert","rol":"oyuncu"}PS C:\kod\giris-sistemi> curl.exe --json "@mert.json" http://localhost:3000/giris{"mesaj":"Hoş geldin, mert"}

Altıncı denemede 429 geldi; doğru şifreyle bile 15 dakika giremezsin. 896, pencerenin kalan saniyesi: ilk denemeden bu yana geçen süre 900'den düşülür, sende sayı biraz farklı çıkar. Tek adresten şifre listesi deneyen bir bot, bir hesap için saatte yirmi tahmini geçemez. mert etkilenmedi, çünkü sayaç adres ve ad başına. Binlerce adresten deneyeni bu sayaç tek başına yakalayamaz, ama ilk adım budur.

Üçüncü savunma, en baştan güçlü bir şifre. ABD'nin standart kurumu NIST'in güncel kılavuzu (SP 800-63B) şaşırtıcı gelebilir: önemli olan uzunluk. Yalnız şifreyle girilen sistemde şifre en az 15 karakter olmalı ve sızmış, sık kullanılan şifreler listesine karşı denetlenmeli. "Büyük harf, rakam, işaret koy" kuralları ve süreli zorunlu değişiklik ise dayatılmamalı; insanları Sihirdar1! gibi şifrelere iter. girisSiniri'nin altına bir denetçi yaz:

66const SITE_ADI = "sihirdar"67const YAYGIN = ["123456789012345", "qwertyuiop12345", "1q2w3e4r5t6y7u8"]68 69function sifreSorunu(ad, sifre) {70    if (typeof sifre !== "string" || sifre.length < 15) {71        return "Şifre en az 15 karakter olmalı"72    }73    const kucuk = sifre.toLocaleLowerCase("tr")74    if (YAYGIN.includes(kucuk)) {75        return "Bu şifre çok sık kullanılıyor, başka bir tane seç"76    }77    if (kucuk.includes(ad.toLocaleLowerCase("tr")) || kucuk.includes(SITE_ADI)) {78        return "Şifre kullanıcı adını ya da site adını içermemeli"79    }80    return null81}

Sorun varsa mesajını, yoksa null döndürür. İki taraf da küçültülüyor; "tr" yerel ayarı I ve İ'yi doğru küçültür. Gerçek sitede YAYGIN milyonlarca sızmış şifredir; burada üçü yeter. Denetçiyi /kayit'ta, hashlemeden önce çağır:

91app.post("/kayit", async (req, res) => {92    const ad = req.body?.ad93    const sifre = req.body?.sifre94    if (typeof ad !== "string" || typeof sifre !== "string") {95        return res.status(400).json({ hata: "ad ve sifre metin olarak gelmeli" })96    }97    const sorun = sifreSorunu(ad, sifre)98    if (sorun) {99        return res.status(400).json({ hata: sorun })100    }101    if (kullanicilar.some((k) => k.ad === ad)) {102        return res.status(409).json({ hata: "Bu ad alınmış" })103    }

Dene. ece.json dosyasına { "ad": "ece", "sifre": "sihirdar123" } yaz; her denemeden sonra şifreyi sıradakiyle değiştir:

PS C:\kod\giris-sistemi> curl.exe --json "@ece.json" http://localhost:3000/kayit{"hata":"Şifre en az 15 karakter olmalı"}# şifre: sihirdar-arenasi-2026PS C:\kod\giris-sistemi> curl.exe --json "@ece.json" http://localhost:3000/kayit{"hata":"Şifre kullanıcı adını ya da site adını içermemeli"}# şifre: qwertyuiop12345PS C:\kod\giris-sistemi> curl.exe --json "@ece.json" http://localhost:3000/kayit{"hata":"Bu şifre çok sık kullanılıyor, başka bir tane seç"}# şifre: kirmizi-balon-yukseliyorPS C:\kod\giris-sistemi> curl.exe --json "@ece.json" http://localhost:3000/kayit{"ad":"ece","rol":"oyuncu"}

#Gerçek bir olaydan ders: şifre değişince oturumları kapat

Gerçekten yaşanmış bir olay (adını vermeyeceğim). Bir sitenin yönetici şifresi sitenin adından türetilmişti: siteadi123 gibi. Saldırgan onu saatler içinde buldu ve panele girdi. Fark edilince şifre hemen güçlü bir yenisiyle değiştirildi, ama saldırgan içeride kaldı. Neden? Şifre değişti, saldırganın açık oturumu kapanmadı; elindeki çerez şifreden bağımsız olarak geçerliydi.

İki ders çıkar. Birincisi: baştan güçlü bir şifre (denetçin sihirdar123'ü zaten reddediyor). İkincisi: şifre değişince o kullanıcının bütün oturumlarını geçersiz kılmak. Fonksiyonu sifreSorunu'nun altına, route'u app.listen'ın üstüne ekle:

83function oturumlariKapat(ad) {84    for (const [kimlik, oturum] of oturumlar) {85        if (oturum.ad === ad) {86            oturumlar.delete(kimlik)87        }88    }89}

140app.post("/sifre-degistir", girisGerekli, async (req, res) => {141    const eskiSifre = req.body?.eskiSifre142    const yeniSifre = req.body?.yeniSifre143    if (typeof eskiSifre !== "string" || typeof yeniSifre !== "string") {144        return res.status(400).json({ hata: "eskiSifre ve yeniSifre metin olarak gelmeli" })145    }146    const dogruMu = await sifreDogruMu(eskiSifre, req.kullanici.sifreHash)147    if (!dogruMu) {148        return res.status(403).json({ hata: "Şu anki şifren yanlış" })149    }150    const sorun = sifreSorunu(req.kullanici.ad, yeniSifre)151    if (sorun) {152        return res.status(400).json({ hata: sorun })153    }154    req.kullanici.sifreHash = await sifreyiHashle(yeniSifre)155    oturumlariKapat(req.kullanici.ad)156    oturumAc(res, req.kullanici.ad)157    res.json({ mesaj: "Şifre değişti, öteki bütün oturumlar kapatıldı" })158})

for (const [kimlik, oturum] of oturumlar) defteri çift çift gezer; Map'i gezerken içinden silmek güvenlidir. Route önce mevcut şifreyi doğruluyor: çerezi çalan biri şifreyi bilmeden değiştiremesin. Şifre yanlışsa 403, çünkü kişi zaten giriş yapmış; yeniden giriş yapması sorunu çözmez, 401 dönseydin istemci onu boşuna giriş ekranına yollardı. Sonra yeni hashi yazıp bütün oturumları siliyor, değişikliği yapana oturumAc ile taze bir oturum veriyor.

İki cihazdan girmişsin gibi dene. degistir.json: { "eskiSifre": "gece-yarisi-ejder-uyanir", "yeniSifre": "yedi-kule-sabaha-kadar-yanar" }.

PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/kayit{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe -c laptop.txt --json "@deniz.json" http://localhost:3000/giris{"mesaj":"Hoş geldin, deniz"}PS C:\kod\giris-sistemi> curl.exe -c telefon.txt --json "@deniz.json" http://localhost:3000/giris{"mesaj":"Hoş geldin, deniz"}PS C:\kod\giris-sistemi> curl.exe -b laptop.txt -c laptop.txt --json "@degistir.json" http://localhost:3000/sifre-degistir{"mesaj":"Şifre değişti, öteki bütün oturumlar kapatıldı"}PS C:\kod\giris-sistemi> curl.exe -b laptop.txt http://localhost:3000/ben{"ad":"deniz","rol":"yonetici"}PS C:\kod\giris-sistemi> curl.exe -b telefon.txt http://localhost:3000/ben{"hata":"Önce giriş yap"}PS C:\kod\giris-sistemi> curl.exe --json "@deniz.json" http://localhost:3000/giris{"hata":"Ad ya da şifre yanlış"}

Şifreyi değiştiren laptop içeride kaldı (-c laptop.txt taze çerezi dosyaya yazdı). Öteki oturum, yani senaryodaki saldırgan, anında dışarı atıldı; eski şifre de artık geçmiyor. O olay tek bir fonksiyonla kapanabilirdi.

#Kontrol: sunucu.js'in son hâli

Parçaları yerleştirirken kaybolduysan dosyanı bununla karşılaştır:

1import express from "express"2import cookieParser from "cookie-parser"3import { randomBytes } from "node:crypto"4import { sifreyiHashle, sifreDogruMu } from "./sifre.js"5 6const app = express()7const port = 30008 9const kullanicilar = []10const yoneticiler = ["deniz"]11const oturumlar = new Map()12const OTURUM_SURESI = 60 * 60 * 100013const CEREZ_AYARI = { httpOnly: true, secure: true, sameSite: "lax" }14 15app.use(express.json())16app.use(cookieParser())17 18function oturumAc(res, ad) {19    const kimlik = randomBytes(32).toString("hex")20    oturumlar.set(kimlik, { ad, bitis: Date.now() + OTURUM_SURESI })21    res.cookie("oturum", kimlik, { ...CEREZ_AYARI, maxAge: OTURUM_SURESI })22}23 24function girisGerekli(req, res, next) {25    const kimlik = req.cookies.oturum26    const oturum = oturumlar.get(kimlik)27    if (!oturum) {28        return res.status(401).json({ hata: "Önce giriş yap" })29    }30    if (Date.now() > oturum.bitis) {31        oturumlar.delete(kimlik)32        return res.status(401).json({ hata: "Oturumun süresi doldu, yeniden giriş yap" })33    }34    req.kullanici = kullanicilar.find((k) => k.ad === oturum.ad)35    next()36}37 38function yoneticiGerekli(req, res, next) {39    if (req.kullanici.rol !== "yonetici") {40        return res.status(403).json({ hata: "Bu iş için yönetici olmalısın" })41    }42    next()43}44 45const denemeler = new Map()46const DENEME_SINIRI = 547const DENEME_PENCERESI = 15 * 60 * 100048 49function girisSiniri(req, res, next) {50    const anahtar = `${req.ip}|${req.body?.ad}`51    let kayit = denemeler.get(anahtar)52    if (!kayit || Date.now() - kayit.ilk >= DENEME_PENCERESI) {53        kayit = { sayi: 0, ilk: Date.now() }54        denemeler.set(anahtar, kayit)55    }56    if (kayit.sayi >= DENEME_SINIRI) {57        const kalan = Math.ceil((kayit.ilk + DENEME_PENCERESI - Date.now()) / 1000)58        res.set("Retry-After", String(kalan))59        return res.status(429).json({ hata: `Çok fazla deneme. ${kalan} saniye sonra yeniden dene` })60    }61    kayit.sayi = kayit.sayi + 162    req.denemeAnahtari = anahtar63    next()64}65 66const SITE_ADI = "sihirdar"67const YAYGIN = ["123456789012345", "qwertyuiop12345", "1q2w3e4r5t6y7u8"]68 69function sifreSorunu(ad, sifre) {70    if (typeof sifre !== "string" || sifre.length < 15) {71        return "Şifre en az 15 karakter olmalı"72    }73    const kucuk = sifre.toLocaleLowerCase("tr")74    if (YAYGIN.includes(kucuk)) {75        return "Bu şifre çok sık kullanılıyor, başka bir tane seç"76    }77    if (kucuk.includes(ad.toLocaleLowerCase("tr")) || kucuk.includes(SITE_ADI)) {78        return "Şifre kullanıcı adını ya da site adını içermemeli"79    }80    return null81}82 83function oturumlariKapat(ad) {84    for (const [kimlik, oturum] of oturumlar) {85        if (oturum.ad === ad) {86            oturumlar.delete(kimlik)87        }88    }89}90 91app.post("/kayit", async (req, res) => {92    const ad = req.body?.ad93    const sifre = req.body?.sifre94    if (typeof ad !== "string" || typeof sifre !== "string") {95        return res.status(400).json({ hata: "ad ve sifre metin olarak gelmeli" })96    }97    const sorun = sifreSorunu(ad, sifre)98    if (sorun) {99        return res.status(400).json({ hata: sorun })100    }101    if (kullanicilar.some((k) => k.ad === ad)) {102        return res.status(409).json({ hata: "Bu ad alınmış" })103    }104    const sifreHash = await sifreyiHashle(sifre)105    const rol = yoneticiler.includes(ad) ? "yonetici" : "oyuncu"106    kullanicilar.push({ ad, sifreHash, rol })107    res.status(201).json({ ad, rol })108})109 110app.post("/giris", girisSiniri, async (req, res) => {111    const ad = req.body?.ad112    const sifre = req.body?.sifre113    const kullanici = kullanicilar.find((k) => k.ad === ad)114    if (!kullanici || typeof sifre !== "string") {115        return res.status(401).json({ hata: "Ad ya da şifre yanlış" })116    }117    const dogruMu = await sifreDogruMu(sifre, kullanici.sifreHash)118    if (!dogruMu) {119        return res.status(401).json({ hata: "Ad ya da şifre yanlış" })120    }121    denemeler.delete(req.denemeAnahtari)122    oturumAc(res, kullanici.ad)123    res.json({ mesaj: `Hoş geldin, ${kullanici.ad}` })124})125 126app.get("/ben", girisGerekli, (req, res) => {127    res.json({ ad: req.kullanici.ad, rol: req.kullanici.rol })128})129 130app.get("/yonetim/kullanicilar", girisGerekli, yoneticiGerekli, (req, res) => {131    res.json(kullanicilar.map((k) => ({ ad: k.ad, rol: k.rol })))132})133 134app.post("/cikis", girisGerekli, (req, res) => {135    oturumlar.delete(req.cookies.oturum)136    res.clearCookie("oturum", CEREZ_AYARI)137    res.status(204).end()138})139 140app.post("/sifre-degistir", girisGerekli, async (req, res) => {141    const eskiSifre = req.body?.eskiSifre142    const yeniSifre = req.body?.yeniSifre143    if (typeof eskiSifre !== "string" || typeof yeniSifre !== "string") {144        return res.status(400).json({ hata: "eskiSifre ve yeniSifre metin olarak gelmeli" })145    }146    const dogruMu = await sifreDogruMu(eskiSifre, req.kullanici.sifreHash)147    if (!dogruMu) {148        return res.status(403).json({ hata: "Şu anki şifren yanlış" })149    }150    const sorun = sifreSorunu(req.kullanici.ad, yeniSifre)151    if (sorun) {152        return res.status(400).json({ hata: sorun })153    }154    req.kullanici.sifreHash = await sifreyiHashle(yeniSifre)155    oturumlariKapat(req.kullanici.ad)156    oturumAc(res, req.kullanici.ad)157    res.json({ mesaj: "Şifre değişti, öteki bütün oturumlar kapatıldı" })158})159 160app.listen(port, () => {161    console.log(`Sunucu çalışıyor: http://localhost:${port}`)162})

#Token (JWT) fikri

Oturum defterimiz sunucunun belleğinde. Aynı anda beş sunucun çalışsaydı, istek hangisine düşerse düşsün hepsi aynı defteri görmeliydi. Bir yol, defteri veritabanında tutmak. Öteki yol: defter tutmamak, kullanıcının bilgisini kurcalanamayacak biçimde imzalayıp istemciye vermek. Bu imzalı bilgiye token denir, en yaygın biçimi JWT.

JWT'yi elle değil, bir kütüphaneyle üretirsin. jose yaygın olanlardan biri (6.2.12 ile denendi):

PS C:\kod\giris-sistemi> npm install joseadded 1 package, and audited 69 packages in 1s 29 packages are looking for funding  run `npm fund` for details found 0 vulnerabilities

İmza için tahmin edilemez bir gizli anahtar gerekir. Onu da randomBytes ile üret:

1import { randomBytes } from "node:crypto"2 3console.log(randomBytes(32).toString("hex"))

ff3a228077f94d6864be18cdb23a2052627662b8de2d203141fc214f4eb803de

Çıkan metni .env dosyasına yaz (kendi ürettiğini, buradakini değil):

1JWT_SIRRI=ff3a228077f94d6864be18cdb23a2052627662b8de2d203141fc214f4eb803de

Şimdi bir token üretip doğrula. Anahtar Ders 29'daki gibi process.env'den geliyor; jose onu bayt dizisi olarak istediği için TextEncoder çeviriyor:

1import { SignJWT, jwtVerify } from "jose"2 3const sir = new TextEncoder().encode(process.env.JWT_SIRRI)4 5const jeton = await new SignJWT({ ad: "deniz", rol: "yonetici" })6    .setProtectedHeader({ alg: "HS256" })7    .setIssuedAt()8    .setExpirationTime("1h")9    .sign(sir)10 11console.log(jeton)12 13const { payload } = await jwtVerify(jeton, sir)14console.log(payload)

PS C:\kod\giris-sistemi> node --env-file=.env jwt-dene.jseyJhbGciOiJIUzI1NiJ9.eyJhZCI6ImRlbml6Iiwicm9sIjoieW9uZXRpY2kiLCJpYXQiOjE3OTE3NjQyNjIsImV4cCI6MTc5MTc2Nzg2Mn0.-EnLY8N9vkEkJ-NAcuB9G8GCKIBH_8IR4nOsmUUpq-M{ ad: 'deniz', rol: 'yonetici', iat: 1791764262, exp: 1791767862 }

.setIssuedAt() üretim zamanını (iat), .setExpirationTime("1h") bir saat sonrasını (exp) ekledi, 1970'ten bu yana geçen saniye olarak. jwtVerify imzayı ve süreyi denetleyip veriyi verdi. Sende sayılar farklı çıkacak.

Token'ın ortasındaki parça şifreli değil, yalnızca kodlanmış; herkes okuyabilir:

1const jeton = "eyJhbGciOiJIUzI1NiJ9.eyJhZCI6ImRlbml6Iiwicm9sIjoieW9uZXRpY2kiLCJpYXQiOjE3OTE3NjQyNjIsImV4cCI6MTc5MTc2Nzg2Mn0.-EnLY8N9vkEkJ-NAcuB9G8GCKIBH_8IR4nOsmUUpq-M"2 3const [baslik, veri, imza] = jeton.split(".")4console.log(Buffer.from(baslik, "base64url").toString())5console.log(Buffer.from(veri, "base64url").toString())6console.log(imza)

{"alg":"HS256"}{"ad":"deniz","rol":"yonetici","iat":1791764262,"exp":1791767862}-EnLY8N9vkEkJ-NAcuB9G8GCKIBH_8IR4nOsmUUpq-M

base64url, baytları harf ve rakamlarla yazmanın bir yolu; gizlemez. Token imzalıdır ama gizli değildir: içine şifre gibi bir şey koyma. Saldırgan rol'ü değiştirip yeniden kodlayabilir, ama imzayı tutturamaz; bunun için sırrı bilmesi gerekir.

node:internal/crypto/mac:48    throw lazyDOMException('Zero-length key is not supported', 'DataError');          ^ DOMException [DataError]: Zero-length key is not supported    at normalizeKeyLength (node:internal/crypto/mac:48:11)    ... Node.js v24.20.0

JWSSignatureVerificationFailed: signature verification failed    at verifySignature (file:///C:/kod/giris-sistemi/node_modules/jose/dist/webapi/lib/jws_verify.js:67:11)    ...  code: 'ERR_JWS_SIGNATURE_VERIFICATION_FAILED'}

1import { SignJWT, jwtVerify } from "jose"2 3const sir = new TextEncoder().encode("sihirdar-gizli-anahtar")4 5const sahte = await new SignJWT({ ad: "saldirgan", rol: "yonetici" })6    .setProtectedHeader({ alg: "HS256" })7    .setExpirationTime("1h")8    .sign(sir)9 10const { payload } = await jwtVerify(sahte, sir)11console.log(payload)

{ ad: 'saldirgan', rol: 'yonetici', exp: 1791767531 }

Hangisini seçmeli? İkisinin de bedeli var:

Tek sunuculu bir uygulamada sunucu tarafı oturum çoğu zaman daha basit ve daha güvenlidir, çünkü iptali kolaydır. JWT'yi tarayıcıda tutacaksan localStorage'a değil yine HttpOnly bir çereze koy: localStorage'ı sayfadaki her betik okur. Token, birçok servisin aynı kimliği paylaştığı büyük sistemlerde parlar.

#Üç yaygın açık ve ilk savunma

Şimdi saldırganın gözünden üç klasik açığa bakalım. XSS ile SQL injection'ın kökü aynı: veriyle komutu karıştırmak. Ders 22'deki sohbet benzetmesini hatırla: düz mesaj sanılan /ff komut olarak çalışınca teslim oylaması başlar. Kullanıcıdan gelen metin bir yerde komut gibi çalışmaya başladığında açık doğar. Üçüncüsü, CSRF, başka bir yerden gelir: tarayıcının çerezi her isteğe kendiliğinden eklemesinden.

#XSS: kullanıcının metni senin sayfanda kod olur

Ders 22'de XSS'i tarayıcı tarafında görmüştün: innerHTML'e verilen metindeki etiketler gerçek öğeye dönüşüyordu. Aynı tehlike sunucuda da var: kullanıcının yazdığını HTML'e olduğu gibi gömersen saldırgan oraya <script> yazar.

Küçük bir deneme sunucusuyla gör (sunucu.js 3000'de çalışmayı sürdürsün diye bu 3001'de):

1import express from "express"2 3const app = express()4const port = 30015 6function kacir(metin) {7    return String(metin)8        .replaceAll("&", "&amp;")9        .replaceAll("<", "&lt;")10        .replaceAll(">", "&gt;")11        .replaceAll('"', "&quot;")12        .replaceAll("'", "&#39;")13}14 15app.get("/", (req, res) => {16    res.cookie("tema", "koyu")17    res.cookie("oturum", "a1b2c3d4e5f6", { httpOnly: true })18    res.send("<p>Çerezler kuruldu.</p>")19})20 21app.get("/selam-tehlikeli", (req, res) => {22    res.send(`<h1>Hoş geldin, ${req.query.ad}</h1>`)23})24 25app.get("/selam-guvenli", (req, res) => {26    res.send(`<h1>Hoş geldin, ${kacir(req.query.ad)}</h1>`)27})28 29app.listen(port, () => {30    console.log(`Sunucu çalışıyor: http://localhost:${port}`)31})

/selam-tehlikeli, ad sorgusunu (Ders 28'deki req.query) olduğu gibi gömüyor. /selam-guvenli önce kaçırıyor: <, >, &, " ve ' işaretlerini HTML'in "bu işaret değil, yazı" dediği karşılıklarına çeviriyor. & en başta değişmeli, yoksa az önce koyduğun <'yi de bozarsın. / adresi iki çerez kuruyor: biri sıradan, biri HttpOnly. Üçüncü bir terminal aç (+), node xss-dene.js ile başlat; istekleri yine ikinci terminalden at:

PS C:\kod\giris-sistemi> curl.exe "http://localhost:3001/selam-tehlikeli?ad=Deniz"<h1>Hoş geldin, Deniz</h1>PS C:\kod\giris-sistemi> curl.exe "http://localhost:3001/selam-tehlikeli?ad=<script>alert(1)</script>"<h1>Hoş geldin, <script>alert(1)</script></h1>PS C:\kod\giris-sistemi> curl.exe "http://localhost:3001/selam-guvenli?ad=<script>alert(1)</script>"<h1>Hoş geldin, &lt;script&gt;alert(1)&lt;/script&gt;</h1>

İkinci yanıttaki <script> gerçek bir etiket; tarayıcıda uyarı penceresi açar. Daha kötüsünü dene: tarayıcıda önce http://localhost:3001/ adresini aç (çerezler kurulsun), sonra http://localhost:3001/selam-tehlikeli?ad=<script>document.write(document.cookie)</script> adresine git. document.cookie sayfadaki JavaScript'in görebildiği çerezleri verir, document.write onları sayfaya yazar. Sonra aynısını selam-guvenli ile yap. Gerçek Chromium'da sonuç:

localhost:3001/selam-tehlikeli?ad=<script>document.write(document.cookie)</script>

localhost:3001/selam-guvenli?ad=<script>document.write(document.cookie)</script>

Gerçek saldırıda bu adresi saldırgan hazırlar ve kurbana bir bağlantı olarak yollar (bir Discord mesajı gibi). Kurban tıklayınca betik kurbanın tarayıcısında, kurbanın çerezleriyle çalışır. Dört adımlı şekildeki tür daha da tehlikeli: metin bir profil adı gibi sunucuda saklanır, sayfayı açan herkesi etkiler. İkisinin de çaresi aynı.

Kaçırmak saldırıyı durdurdu. Kaçırmanın unutulduğu sayfada HttpOnly oturum çerezini korudu, ama betik yine çalıştı ve kurbanın tarayıcısından onun adına istek atabilirdi; HttpOnly yalnız ikinci kat. Tarayıcıda aynı fikrin adı textContent (Ders 22): kullanıcıdan geleni asla innerHTML'e verme. Gerçek projelerde bunu kendiliğinden yapan araçlar kullanırsın (React gibi, Blok 6'da).

#CSRF: başka bir site senin adına istek attırır

Diyelim ki sitende hesabı silen bir POST /hesabi-sil adresi var ve giriş yapmışsın; oturum çerezin tarayıcında. Başka bir sekmede kötü niyetli bir sayfa açtın. O sayfa gizli bir formla senin sitene POST /hesabi-sil gönderebilir. Çerez bu isteğe kendiliğinden eklenirse sunucu isteği senden geldi sanır ve hesabını siler. Buna CSRF denir.

İlk savunmayı zaten koydun: SameSite=Lax çerezi başka siteden tetiklenen POST isteklerine eklemez; saldırı başlamadan biter. Bazı tarayıcılar işaretsiz çereze de Lax davranır, ama hepsi değil; açıkça yaz. Üç kural daha:

• Durum değiştiren işlemleri GET ile yapma. Lax, başka siteden gelen bağlantıya tıklamada (üst seviye GET) çerezi gönderir. Aynı iş GET /hesabi-sil ile yapılsaydı kötü sayfadaki tek bir bağlantı onu kurbanın oturumuyla çalıştırır. Silme, güncelleme, şifre değiştirme hep POST, PUT, PATCH, DELETE olsun (Ders 26).
• Önemli işlemde şifreyi yeniden iste. /sifre-degistir'in eski şifreyi istemesi bu yüzden de iyi: kötü sayfa senin şifreni bilmez, isteği tamamlayamaz.
• Büyük projelerde bir adım daha: sunucu her forma tahmin edilemez bir "CSRF token" koyar ve gelen istekte onu arar; kötü sayfa bu değeri bilemez. Ayrıntısı OWASP CSRF sayfasında.

#SQL injection: kullanıcının metni veritabanı komutu olur

Bunu Blok 5'te tam göreceksin, fikri şimdiden tanı. Veritabanına "şu adlı kullanıcıyı getir" gibi komutlar metin olarak gönderilir; bu dilin adı SQL (Ders 33). Kullanıcının yazdığı ad komut metnine + ile yapıştırılırsa ne olur?

1const ad = "' OR '1'='1"2const komut = "SELECT * FROM kullanicilar WHERE ad = '" + ad + "'"3console.log(komut)

SELECT * FROM kullanicilar WHERE ad = '' OR '1'='1'

"Adı şu olanı getir" komutu, araya giren tırnak ve OR yüzünden "adı boş olanı ya da 1'in 1'e eşit olduğu her satırı getir" oldu. '1'='1' her satır için doğru: veritabanı bütün kullanıcıları verir.

Çaresi XSS'teki gibi veriyle komutu karıştırmamak. Veritabanında adı parametreli sorgu: ad komut metnine yapıştırılmaz, ayrı bir kanaldan gider; veritabanı onu hep veri sayar. Ders 37'de gerçek bir veritabanıyla yapacaksın. Şimdilik aklında kalsın: dışarıdan gelen hiçbir metne komut gibi davranma.

#Hazır çözümler: kendi sistemini sıfırdan yazma

Artık bir giriş sisteminin altında ne olduğunu biliyorsun: hash, tuz, oturum, çerez işaretleri, yetki, hız sınırı. Tam da bu yüzden: gerçek bir üründe bunu sıfırdan kendin yazma. Güvenlikte gözden kaçan tek ayrıntı her şeyi açar; şifre sıfırlama, iki adımlı doğrulama, hesap kurtarma gibi daha görmediğin parçalar da var. Binlerce kişinin kullandığı, açıkları yıllardır kapatılan çözümler ilk denemenden çok daha güvenlidir.

İki yaygın yol var. Birincisi, girişi tümüyle başka bir servise bırakmak: OAuth ile "Discord ile giriş" ya da "Google ile giriş".

Akış kabaca şöyle (bu sitedeki Discord ile giriş de böyle çalışıyor):

Kullanıcının Discord şifresi sana hiç uğramaz. Uygulamanın gizli anahtarı Ders 30'daki API anahtarı gibi .env'de durur. Ayrıntılar Discord OAuth2 belgesinde; adresler değişebilir, kod yazmadan önce oraya bak.

İkinci yol: şifre sistemini sen tutarsın ama yazmazsın. Olgun bir kimlik kütüphanesi hash'ten oturuma, OAuth'tan şifre sıfırlamaya kadar hepsini hazır verir: Express için yıllardır kullanılan Passport.js ya da daha yeni Better Auth gibi. Auth0, Clerk, Supabase Auth gibi servisler ise bütün işi kendi sunucularında yapar. Alan hızlı değişiyor (2025'te Auth.js, Better Auth'a katıldı; Lucia bir öğrenme kaynağına dönüştü); seçmeden önce Ders 14'teki ölçütlerle güncel durumu araştır.

Peki bu dersi niye yaptık? Hazır bir çözümü doğru kurmak için Secure, SameSite, hız sınırı gibi ayarların ne işe yaradığını bilmen gerekir. Artık biliyorsun.

#Görevler

Görevleri giris-sistemi klasöründe ayrı dosyalarda yap; hiçbiri sunucu ya da paket gerektirmiyor. Önce kendin dene, takılırsan ipuçlarını sırayla aç.

const mert = { ad: "mert", rol: "oyuncu" }const deniz = { ad: "deniz", rol: "yonetici" } console.log(erisimKodu(null, "yonetici"))console.log(erisimKodu(null, null))console.log(erisimKodu(mert, "yonetici"))console.log(erisimKodu(mert, null))console.log(erisimKodu(deniz, "yonetici"))

401401403200200

1function erisimKodu(kullanici, gerekenRol) {2    if (!kullanici) {3        return 4014    }5    if (gerekenRol && kullanici.rol !== gerekenRol) {6        return 4037    }8    return 2009}10 11const mert = { ad: "mert", rol: "oyuncu" }12const deniz = { ad: "deniz", rol: "yonetici" }13 14console.log(erisimKodu(null, "yonetici"))15console.log(erisimKodu(null, null))16console.log(erisimKodu(mert, "yonetici"))17console.log(erisimKodu(mert, null))18console.log(erisimKodu(deniz, "yonetici"))

401401403200200

<ul><li>Teemo</li><li>&lt;b&gt;Jinx&lt;/b&gt;</li><li>Kai&#39;Sa &amp; Lux</li></ul><ul></ul>

1function kacir(metin) {2    return String(metin)3        .replaceAll("&", "&amp;")4        .replaceAll("<", "&lt;")5        .replaceAll(">", "&gt;")6        .replaceAll('"', "&quot;")7        .replaceAll("'", "&#39;")8}9 10function listeYap(adlar) {11    const satirlar = adlar.map((ad) => `<li>${kacir(ad)}</li>`)12    return `<ul>${satirlar.join("")}</ul>`13}14 15console.log(listeYap(["Teemo", "<b>Jinx</b>", "Kai'Sa & Lux"]))16console.log(listeYap([]))

<ul><li>Teemo</li><li>&lt;b&gt;Jinx&lt;/b&gt;</li><li>Kai&#39;Sa &amp; Lux</li></ul><ul></ul>

scrypt$16384$8$5$9d2a61f0c4b87e135a0f6c2d8e4b7a19$134b34a15a3e85f7760650767ff76b165e3cdfbb8d23efe2fa96b6c408daefdb

truefalsefalsefalsefalse

1import { scryptSync, timingSafeEqual } from "node:crypto"2 3const kayit = "scrypt$16384$8$5$9d2a61f0c4b87e135a0f6c2d8e4b7a19$134b34a15a3e85f7760650767ff76b165e3cdfbb8d23efe2fa96b6c408daefdb"4 5function dogrula(sifre, kayit) {6    const parcalar = kayit.split("$")7    if (parcalar.length !== 6) {8        return false9    }10    const [algoritma, n, r, p, tuzHex, ozetHex] = parcalar11    const beklenen = Buffer.from(ozetHex, "hex")12    if (algoritma !== "scrypt" || beklenen.length !== 32) {13        return false14    }15    const ayar = { N: Number(n), r: Number(r), p: Number(p) }16    const gelen = scryptSync(sifre, Buffer.from(tuzHex, "hex"), 32, ayar)17    return timingSafeEqual(gelen, beklenen)18}19 20console.log(dogrula("ejderin-gozu-acik", kayit))21console.log(dogrula("Ejderin-gozu-acik", kayit))22console.log(dogrula("ejderin-gozu-acik", kayit.slice(0, -2)))23console.log(dogrula("ejderin-gozu-acik", kayit.replace("scrypt", "md5")))24console.log(dogrula("ejderin-gozu-acik", "scrypt$16384$8$5"))

truefalsefalsefalsefalse

en az 15 karakter olmalıeski şifreyle aynı olamaztek bir karakterin tekrarı olamaznull